Splunk forward 数据转发

splunk forward 转发数据时，需要配置数据【转发和接收】，forwarder 会向所有配置的 Enterprise 发送数据。

一、Enterprise 开启接收端口并创建索引

首先需要在 Enterprise 实例上设置接收，点击设置 -> 转发和接收 -> 配置接收菜单，进入配置页面。

设置需要开放的端口

二、在 forward 实例上进行转发配置

需要在 forward 实例上设置接收，点击设置 -> 转发和接收 -> 配置转发菜单，进入配置页面。输入 Enterprise 的 ip 和开放的端口号。

输入 Enterprise 的 ip 和开放的端口号

ps：配置文件存储位置

Splunk\etc\apps\output-prod\default\outputs.conf

Splunk\etc\system\local\outputs.conf